Document légal
Résidence des données
Dernière mise à jour : 31 août 2026
1. Notre engagement
Formation Witeach Inc. s'engage à héberger les données primaires de la plateforme Witeach LMS au Canada, dans la province de Québec. Ce choix est un différenciateur structurant pour nos clients québécois, en particulier pour les organismes publics, les entreprises soumises à la Loi 25 et les milieux industriels syndiqués pour lesquels la résidence des données est un critère décisionnel.
2. Détails techniques par catégorie
2.1 Base de données et stockage de fichiers
Notre fournisseur d'infrastructure principal est Supabase Inc., opérant dans la région AWS ca-central-1 (AWS Canada Central, Montréal, Québec, Canada).
Sont stockés dans cette région québécoise :
- Comptes utilisateurs (identifiants, mots de passe hashés)
- Organisations clientes, succursales, postes
- Formations (textes, métadonnées)
- Fichiers téléversés : documents PDF, vidéos, logos, packages SCORM, certificats émis
- Progression des apprenants, scores, journaux d'audit
- Signatures électroniques de reconnaissance
2.2 Sauvegardes
Les sauvegardes quotidiennes de la base de données sont conservées dans la même région canadienne (ca-central-1) par Supabase.
Nous conservons en outre une copie de sauvegarde hors site, déposée chaque nuit chez deux fournisseurs indépendants de notre hébergeur et situés aux États-Unis (GitHub et Backblaze B2, région US East). C'est une exigence de la règle 3-2-1 : une copie de secours n'a de valeur contre un rançongiciel ou la perte du compte d'hébergement que si elle vit ailleurs. Cette copie est chiffrée en AES-256 avant de quitter notre environnement d'exécution, et la clé de déchiffrement n'est jamais transmise à ces fournisseurs : ils ne détiennent que des données illisibles. L'une des deux copies est protégée par un verrou d'immuabilité de 90 jours, que personne — pas même nos administrateurs — ne peut lever.
3. Services accessoires opérant hors Québec
Certains services techniques accessoires nécessitent de transmettre des renseignements minimaux et fonctionnellement nécessaires à des prestataires situés en dehors du Québec, principalement aux États-Unis. Pour chacun, Witeach a réalisé une évaluation des facteurs relatifs à la vie privée (EFVP) et appliqué les mesures appropriées conformément à la Loi 25.
| Service | Localisation | Données concernées | Encadrement |
|---|---|---|---|
| Vercel | États-Unis, edge global | Hébergement code application uniquement. Aucune donnée persistante. | DPA standard Vercel + chiffrement TLS bout-en-bout |
| Resend | États-Unis | Contenu des emails transactionnels uniquement (prénom et nom, titre de formation, dates, verdict de réussite, certificat PDF joint au courriel de complétion). Jamais de mot de passe ni de note détaillée. | DPA standard Resend + minimisation |
| GitHub | États-Unis | Copie de sauvegarde chiffrée (30 jours). Contenu illisible sans notre clé, qui ne leur est jamais transmise. | DPA + chiffrement AES-256 appliqué avant tout transfert |
| Backblaze B2 | États-Unis (US East) | Copie de sauvegarde chiffrée et immuable (verrou 90 jours). Contenu illisible sans notre clé, qui ne leur est jamais transmise. | DPA + chiffrement AES-256 appliqué avant tout transfert |
| Stripe | États-Unis | Données de facturation des organisations clientes et, pour les achats de formation à l'unité, courriel de l'acheteur. Conformité PCI DSS niveau 1. | DPA standard Stripe + tokenisation des moyens de paiement |
4. Conformité à la Loi 25 sur les transferts hors Québec
L'article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé exige que toute communication de renseignements personnels à l'extérieur du Québec soit précédée d'une évaluation des facteurs relatifs à la vie privée et encadrée par un contrat écrit. Pour chaque sous-traitant hors-Québec, Witeach maintient :
- Un Data Processing Agreement (DPA) conforme aux exigences de protection (signé par le sous-traitant)
- Une évaluation des risques documentée
- Le principe de minimisation : transmission uniquement des données strictement nécessaires
5. Notification en cas de changement
Tout changement substantiel concernant la localisation des données (changement de région d'hébergement, nouveau sous-traitant traitant des données personnelles, etc.) sera notifié aux organisations clientes par courriel avec un préavis raisonnable, et publié sur cette page avec mise à jour de la date.
6. Questions
Pour toute question relative à la résidence ou à la sécurité de vos données, contactez confidentialite@witeach.ca ou consultez notre Politique de confidentialité.